Kopano schützen gegen Attacken mit Fail2ban

Dieses Howto beschreibt die Installation und Konfiguration von Fail2ban für die Kopano Groupware auf Ubuntu 16.04.4 LTS. Fail2ban bietet effektiven schutz gegen Brute-Force Attacken, in dem aus Syslog und Apache Protokoll fehlgeschlagene versuche von Authentifizierungen herausgefiltert werden, um anschliessend den Host für eine bestimmte Zeit mittels Kernel Firewall zu blockieren.

Installation Fail2ban auf Kopano Server

Das Paket Fail2ban wird auf dem Ubuntu Host als root wie folgt installiert. Fail2ban ist auf Python entwickelt, weshalb die erforderlichen Bibliotheken nachgeladen werden.


apt-get update
apt-get install fail2ban -y

apt-get update

apt-get install fail2ban -y

Nach der Installation wird Fail2ban ausgeführt und in systemd für den autostart aktiviert.


systemctl start fail2ban
systemctl enable fail2ban

systemctl start fail2ban

systemctl enable fail2ban

Ein Fail2ban Filter für Kopano bereitstellen, wir erstellen die Datei kopano-webapp-auth.conf


vi /etc/fail2ban/filter.d/kopano-webapp-auth.conf

1 2	vi /etc/fail2ban/filter.d/kopano-webapp-auth.conf

Den Inhalt mit folgenden Zeilen in die Filter Datei einfügen:


# Fail2Ban kopano-webbapp-auth filter
# /etc/fail2ban/filter.d/kopano-webapp-auth.conf

[INCLUDES]
before = apache-common.conf

[Definition]
failregex = ^%(_apache_error_client)s Kopano WebApp user:.* authentication failure at MAPI

ignoreregex =

# Fail2Ban kopano-webbapp-auth filter

# /etc/fail2ban/filter.d/kopano-webapp-auth.conf

[INCLUDES]

before = apache-common.conf

[Definition]

failregex = ^%(_apache_error_client)s Kopano WebApp user:.* authentication failure at MAPI

ignoreregex =

Den Fail2ban Filter für Kopano aktivieren, dazu die Konfigurationsdatei jail.local erstellen.


vi /etc/fail2ban/jail.local

1 2	vi /etc/fail2ban/jail.local

Und den folgenden Inhalt einfügen:


[sshd]
port    = ssh
logpath = %(sshd_log)s

[kopano-webapp]
enabled = true
port    = https
filter  = kopano-webapp-auth
logpath = %(apache_error_log)s

[apache-auth]
enabled = true
port    = http,https
logpath = %(apache_error_log)s

[sshd]

port = ssh

logpath = %(sshd_log)s

[kopano-webapp]

enabled = true

port = https

filter = kopano-webapp-auth

logpath = %(apache_error_log)s

[apache-auth]

enabled = true

port = http,https

logpath = %(apache_error_log)s

Hier wird error.log ausgelesen mit der Variable %(apache_error_log), /var/log/apache2/error.log

Fail2ban erneut starten um die änderungen zu aktivieren.


systemctl restart fail2ban

1 2	systemctl restart fail2ban

Den Status von Fail2ban kann wie folgt überprüft werden.


root@kopano:~# fail2ban-client status
Status
|- Number of jail:      3
`- Jail list:   apache-auth, kopano-webapp, sshd
 
root@kopano:~# fail2ban-client status kopano-webapp
Status for the jail: kopano-webapp
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     7
|  `- File list:        /var/log/apache2/mattermost-error.log /var/log/apache2/error.log
`- Actions
   |- Currently banned: 4
   |- Total banned:     52
   `- Banned IP list: 10.10.10.101 172.17.88.91 172.31.16.3 10.32.57.98

root@kopano:~# fail2ban-client status

Status

|- Number of jail: 3

`- Jail list: apache-auth, kopano-webapp, sshd

root@kopano:~# fail2ban-client status kopano-webapp

Status for the jail: kopano-webapp

|- Filter

| |- Currently failed: 0

| |- Total failed: 7

| `- File list: /var/log/apache2/mattermost-error.log /var/log/apache2/error.log

`- Actions

|- Currently banned: 4

|- Total banned: 52

`- Banned IP list: 10.10.10.101 172.17.88.91 172.31.16.3 10.32.57.98

Die Firewall gibt Aufschluss über den Status der aktuell durch Fail2ban geblockten Hosts, mit einer iptables abfrage:


iptables -vnL | egrep "f2b-kopano-webapp|apache-auth|sshd"

1 2	iptables -vnL \| egrep "f2b-kopano-webapp\|apache-auth\|sshd"

Kopano Z-Push und Outlook 2019

Z-Push ist eine Open-Source-Anwendung zum Synchronisieren von ActiveSync-kompatiblen Geräten wie Mobiltelefonen, Tablets und Outlook 2013 und höher. Ein Kopano Server nutzt Z-Push als ActiveSync-Protokoll für kompatible Geräte.

Bei Z-Push handelt sich um eine Implementierung des ActiveSync-Protokolls von Microsoft, das drahtlos für ActiveSync-fähige Geräte mit mehreren Plattformen wie Windows Phone, Apple iPhone und iPad, Android verwendet wird. Mit Open Source Z-Push kann jedes PHP-basierte Groupware-Paket vollständig mit jedem ActiveSync-kompatiblen Gerät synchronisiert werden.

Als Open Source-Projekt unter der AGPL v3 wurde Z-Push ursprünglich von der Zarafa Deutschland GmbH (Deutschland) entwickelt.

Outlook 2019 Kopano Konto einrichten – so wird’s gemacht

Gemäss Microsoft ist Outlook 2016 und 2019 sowie Office 365 auf derselben Codebasis, die Version bezieht sich lediglich auf unterschiedliche Lizenzmodelle. In diesem Artikel wird beschrieben, wie eines der hier erwähnten Outlook Versionen, mit der Anbindung zu einem Kopano-Groupware Server genutzt werden kann.

Bevor das Kopano-Konto hinzugefügt werden kann, wird Outlook beendet, danach öffnet man das Snap-In für E-Mail Setup, durch drücken der Tasten Windows + R hierdurch sich Ausführen öffnet.

Hier die folgende Zeile per Copy & Paste einfügen.


"C:\Program Files (x86)\Microsoft Office\root\Client\AppVLP.exe" rundll32.exe shell32.dll,Control_RunDLL "C:\Program Files (x86)\Microsoft Office\root\Office16\MLCFG32.CPL"

1 2	"C:\Program Files (x86)\Microsoft Office\root\Client\AppVLP.exe" rundll32.exe shell32.dll,Control_RunDLL "C:\Program Files (x86)\Microsoft Office\root\Office16\MLCFG32.CPL"